Noua strategie de securitate cibernetică a Uniunii Europene

La finalul anului trecut, Comisia și Înaltul Reprezentant al Uniunii pentru afaceri externe și politica de securitate au prezentat o nouă strategie de securitate cibernetică a UE. Strategia este o componentă-cheie a conturării viitorului digital al Europei, a planului de redresare pentru Europa și a Strategiei UE privind o uniune a securității; în această calitate, strategia va consolida reziliența colectivă a Europei la amenințările cibernetice și va contribui la asigurarea faptului că toți cetățenii și toate întreprinderile pot beneficia pe deplin de servicii și instrumente digitale de încredere și fiabile. Indiferent de dispozitivele conectate, rețeaua energetică sau băncile, avioanele, administrațiile publice și spitalele pe care europenii le utilizează sau le frecventează, aceștia merită să o facă în deplină siguranță că vor fi protejați de amenințările cibernetice.

Noua strategie de securitate cibernetică îi permite, de asemenea, Uniunii Europene să se afirme ca lider în materie de norme și standarde internaţionale în spaţiul cibernetic și să consoli­deze cooperarea cu partenerii din întreaga lume pentru a promova un spaţiu cibernetic mondial, deschis, stabil și sigur, bazat pe statul de drept, drepturile omului, libertăţile fundamentale și valo­rile democratice.

În plus, Comisia prezintă propuneri pentru a aborda rezilienţa cibernetică și fizică a entităţilor și a reţelelor critice. Acestea acoperă o gamă largă de sectoare și vizează abordarea, într-un mod coerent și complementar, a riscurilor actuale și viitoare din mediul online și offline, de la atacuri cibernetice la criminalitate sau dezastre naturale.

Încrederea şi securitatea sunt elementele centrale ale Deceniului digital al UE

Noua strategie de securitate cibernetică urmărește să asigure un internet mondial și deschis și prevede totodată garanţii menite nu numai să asigure securitatea, ci și să protejeze valorile euro­pene și drepturile fundamentale ale tuturor. Pe baza realizărilor din lunile recente și din ultimii ani, strate­gia cuprinde propuneri concrete de iniţiative în materie de reglementare, de investiţii și de politică în trei domenii de acţiune ale UE.

1. Reziliență, suveranitate tehnologică şi poziția de lider

În cadrul acestei componente, Comisia propune reformarea normelor privind securitatea reţelelor și a sistemelor informatice în cadrul unei Directive privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (Directiva NIS revizuită sau „NIS 2”), cu scopul de a întări rezilienţa cibernetică a sectoarelor publice și private critice: spitalele, reţelele energetice, căile ferate, dar și centrele de date, administraţiile publice, labora­toarele de cercetare și centrele care fabrică dispozi­tive medicale și medicamente critice, precum și alte infrastructuri și servicii critice trebuie să rămână impermeabile într-un mediu în care ameninţările sunt din ce în ce mai complexe și evoluează rapid.

Comisia propune, de asemenea, lansarea la nivelul întregii UE a unei reţele de centre de operaţiuni de securitate, bazată pe inteligenţa artificială (IA), care să constituie un adevărat „scut de securitate cibernetică” pentru UE, capabil să detecteze semnele unui atac cibernetic suficient de devreme și să permită luarea de acţiuni proac­tive înainte de producerea unor daune. Alte măsuri vizează acordarea unui sprijin specific întreprin­derilor mici și mijlocii (IMM-uri) în cadrul centrelor de inovare digitală, depunerea unor eforturi sporite de perfecţionare a competenţelor forţei de muncă, de atragere și de menţinere a persoanelor celor mai talentate în materie de securitate cibernetică, pre­cum și realizarea de investiţii în cercetare și inovare deschise, competitive și bazate pe excelenţă.

2. Consolidarea capacității operaționale de prevenire, descurajare şi răspuns

Comisia pregătește, printr-un proces pro­gresiv și incluziv cu statele membre, crearea unei noi unităţi comune de securitate cibernetică; aceas­ta va consolida cooperarea dintre organismele UE și autorităţile statelor membre responsabile de pre­venirea și descurajarea atacurilor cibernetice și de răspunsul la acestea, inclusiv comunitatea civilă, autorităţile de aplicare a legii, mediul diplomatic și entităţile de apărare cibernetică.

„Securitatea și stabilitatea internaționale depind mai mult ca niciodată de un spațiu cibernetic global, deschis, stabil și sigur, în care statul de drept, drepturile omului, libertățile și democrația să fie respectate. Strategia de astăzi constituie un demers prin care UE vizează prote­jarea guvernelor, a cetățenilor și a întreprinderilor sale împotriva amenințărilor cibernetice mondiale și atingerea poziției de lider în spațiul cibernetic și se asigură în același timp că toți cetățenii pot beneficia de avantajele internetului și de utilizarea tehnologiilor.” Josep BORRELL, Înaltul Reprezentant al UE

Înaltul Reprezentant prezintă propuneri de con­solidare a setului UE de instrumente pentru diplomaţia cibernetică pentru prevenirea, descurajarea și înfrânarea activităţilor cibernetice răuvoitoare, pre­cum și pentru răspunsul la acestea; sunt vizate în special activităţile cibernetice răuvoitoare care ne afectează infrastructura critică, lanţurile de aprovizionare, instituţiile și procesele demo­cratice. UE va depune totodată eforturi pentru a consolida în continuare cooperarea în domeniul apărării cibernetice și a dezvolta capabilităţi de apărare cibernetică de ultimă generaţie; pentru aceasta, Uniunea se va baza pe activitatea Agenţiei Europene de Apărare și va încuraja statele mem­bre să utilizeze pe deplin cooperarea structurată permanentă și Fondul european de apărare.

3. Promovarea unui spațiu cibernetic mondial şi deschis printr-o cooperare sporită

UE își va intensifica colaborarea cu partenerii internaţionali pentru a consolida ordinea internaţională bazată pe norme, pentru a promova securitatea și stabilitatea internaţională în spaţiul cibernetic și pentru a proteja drepturile omului și libertăţile fundamentale online. UE va promova normele și standardele internaţionale care reflectă aceste valori fundamentale ale UE, în colaborare cu partenerii săi internaţionali în cadrul Organizaţiei Naţiunilor Unite și al altor foruri relevante.

„Europa se angajează pe calea transformării digitale a societății și a econo­miei. Trebuie deci să o sprijinim cu niveluri de investiții fără precedent. Transformarea digitală se accelerează, dar ea va avea succes numai dacă cetățenii și întreprinderile sunt convinși că produsele și serviciile conectate, pe care se bazează, sunt sigure.” Margrethe VESTAGER, Vicepreședinte executiv pentru o Europă pregătită pentru era digitală

UE își va îmbunătăţi în continuare setul de instrumente privind diplomaţia cibernetică și își va intensifica eforturile pentru a consolida capacităţile cibernetice în ţările terţe prin elaborarea unei agende a UE privind consolidarea capacităţilor cibernetice externe. Dialogurile cibernetice cu ţările terţe, cu organizaţiile regionale și internaţionale, precum și cu comunitatea multiparticipativă vor fi intensifi­cate. UE va înfiinţa, de asemenea, o reţea a UE de diplomaţie cibernetică în întreaga lume, pentru a-și promova viziunea privind spaţiul cibernetic.

UE se angajează să sprijine noua strategie de securitate cibernetică prin investiţii fără precedent în tranziţia digitală a UE în următorii șapte ani, cu ajutorul următorului buget pe termen lung al UE, în special prin programul Europa digitală și Orizont Europa, precum și prin Planul de redresare pentru Europa. Statele membre sunt așadar încurajate să utilizeze pe deplin mecanismul UE de redresare și rezilienţă pentru a spori securitatea cibernetică și pentru a reflecta nivelul investiţiilor UE. Obiectivul este de a se ajunge la investiţii combinate în valoa-re de până la 4,5 miliarde EURO din partea UE, a statelor membre și a sectorului, în special în cadrul Centrului de competenţe în materie de securitate cibernetică și al Reţelei de centre de coordonare, și de a se asigura că IMM-urile beneficiază de o mare parte a acestor investiţii.

Comisia urmărește, de asemenea, să consoli­deze capacităţile industriale și tehnologice ale UE în materie de securitate cibernetică, inclusiv prin proiecte sprijinite în comun cu fonduri din bugetul UE și din bugetele naţionale. UE are ocazia unică de a-și pune în comun resursele pentru a-și consolida autonomia strategică și poziţia de lider în materie de securitate cibernetică de-a lungul lanţului de aprovizionare digital (inclusiv date și cloud, tehnologii pe bază de procesoare de nouă generaţie, conectivitate extrem de sigură și reţele 6G), în conformitate cu valorile și priorităţile sale.

Reziliența cibernetică şi fizică a rețelelor, a sistemelor informatice şi a entităților critice

Măsurile existente la nivelul UE menite să prote­jeze serviciile și infrastructurile esenţiale împotriva riscurilor cibernetice și fizice trebuie actualizate. Riscurile în materie de securitate cibernetică continuă să evolueze odată cu creșterea nivelului de digitalizare și interconectare.

Riscurile fizice au devenit, de asemenea, mai complexe de la adoptarea normelor UE din 2008 privind infrastructura critică, norme care acoperă în prezent doar sectoarele energiei și transpor­turilor. Revizuirile vizează actualizarea normelor pentru a urma logica strategiei UE privind uniunea securităţii, depășirea falsei dihotomii între mediul online și mediul offline și eliminarea abordării com­partimentate.

Pentru a răspunde ameninţărilor tot mai mari generate de digitalizare și interconectare, propu­nerea de Directivă privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (Directiva NIS revizuită sau „NIS 2”) va include în domeniul său de aplicare entităţile mijlocii și mari din mai multe sectoare, în funcţie de caracterul lor critic pentru economie și societate.

NIS 2 consolidează cerinţele de securitate impuse întreprinderilor, abordează securitatea lanţurilor de aprovizionare și relaţiile cu furnizorii, simplifică obligaţiile de raportare, introduce măsuri de supraveghere mai stricte pentru autorităţile naţionale și cerinţe mai stricte de asigurare a respectării legii, urmărind totodată armonizarea regimurilor de sancţiuni în toate statele membre. Propunerea NIS 2 va contribui la intensificarea schimbului de informaţii și a cooperării privind gestionarea crizelor cibernetice la nivel naţional și la nivelul UE.

Propunerea de Directivă privind rezilienţa entităţilor critice extinde și aprofundează dome­niul de aplicare al Directivei din 2008 privind infrastructurile critice europene. În prezent sunt vizate zece sectoare: energia, transporturile, acti­vitatea bancară, infrastructurile pieţei financiare, sănătatea, apa potabilă, apa reziduală, infrastruc­tura digitală, administraţia publică și spaţiul.

În temeiul directivei propuse, fiecare stat mem­bru ar urma să adopte o strategie naţională pentru a asigura rezilienţa entităţilor critice și ar efectua evaluări periodice ale riscurilor. Aceste evaluări ar contribui, de asemenea, la identificarea unui subset mai mic de entităţi critice care ar fi supuse unor obligaţii menite să le consolideze rezilienţa în faţa riscurilor non-cibernetice; printre obligaţii se numără evaluarea riscurilor la nivel de entitate, luarea de măsuri tehnice și organizatorice și notifi­carea incidentelor.

La rândul său, Comisia ar urma să ofere sprijin complementar statelor membre și entităţilor critice, de exemplu elaborând o imagine de ansamblu la nivelul Uniunii a riscurilor transfrontaliere și trans­sectoriale, precum și bune practici, metodologii, activităţi de formare transfrontalieră și exerciţii pentru testarea rezilienţei entităţilor critice.

Asigurarea funcționării reþelelor de generație următoare: tehnologia 5G şi tehnologii viitoare

În cadrul noii strategii de securitate cibernetică, statele membre, cu sprijinul Comisiei și al ENISA (Agenţia Uniunii Europene pentru Securitate Cibernetică), sunt încurajate să finalizeze imple­mentarea setului de instrumente al UE în materie de 5G, care oferă o abordare cuprinzătoare și obiectivă bazată pe riscuri pentru securitatea reţelelor 5G și a generaţiilor viitoare de reţele.

Potrivit unui raport publicat în decembrie 2020 referitor la impactul Recomandării Comisiei pri­vind securitatea cibernetică a reţelelor 5G și la stadiul implementării setului de instrumente al UE cuprinzând măsuri de atenuare, de la raportul din iulie 2020 privind progresele înregistrate, majori­tatea statelor membre se află deja pe calea cea bună în ceea ce privește implementarea măsurilor recomandate.

Acestea ar trebui acum să vizeze finalizarea implementării până în al doilea trimestru al anului 2021 și să se asigure că riscurile identificate sunt atenuate în mod corespunzător, în mod coordo­nat, în special în vederea reducerii la minimum a expunerii la furnizorii cu grad ridicat de risc și a evitării dependenţei de acești furnizori. De asemenea, Comisia stabilește astăzi principalele obiective și acţiuni menite să continue activitatea coordonată la nivelul UE.

Context

Securitatea cibernetică este una dintre princi­palele priorităţi ale Comisiei și una dintre pietrele de temelie ale Europei digitale și conectate. Creșterea numărului de atacuri cibernetice în timpul crizei provocate de coronavirus a demonstrat cât de importantă este protejarea spitalelor, a centrelor de cercetare și a altor infrastructuri. Sunt necesare acţiuni ferme în acest domeniu pentru a orienta economia și societatea UE către viitor.

Noua strategie de securitate cibernetică pro­pune integrarea securităţii cibernetice în fiecare element al lanţului de aprovizionare și corelarea într-o mai mare măsură a activităţilor și a resurselor UE în cadrul celor patru comunităţi ale securităţii cibernetice – piaţa internă, asigurarea respectării legii, sectorul diplomaţiei și cel al apărării. Aceasta are ca punct de plecare abordarea UE privind contu­rarea viitorului digital al Europei și Strategia UE pri­vind o uniune a securităţii și se bazează pe o serie de acte legislative, acţiuni și iniţiative pe care UE le-a pus în aplicare pentru a consolida capacităţile în materie de securitate cibernetică și pentru a asigura o Europă mai rezilientă din punct de vedere cibernetic. Printre acestea se numără Strategia de securitate cibernetică din 2013, revizuită în 2017, și Agenda europeană a Comisiei privind securi­tatea pentru perioada 2015-2020. Noua strategie recunoaște, de asemenea, interconectarea din ce în ce mai mare dintre securitatea internă și cea externă, în special prin intermediul politicii externe și de securitate comune.